OVEREENKOMST TUSSEN TWEE VERWERKINGSVERANTWOORDELIJKEN

Partijen:

OVEREENKOMST TUSSEN TWEE VERWERKINGSVERANTWOORDELIJKEN

De besloten vennootschap met beperkte aansprakelijkheid naar Nederlands recht XXImo Holding B.V., statutair gevestigd te Amsterdam en kantoorhoudende aan Xxxxxxxxxxxx 00, 0000 XX Xxxxxxx, ingeschreven bij het handelsregister van de Kamer van Koophandel onder nummer 27264588, te dezen rechtsgeldig vertegenwoordigd door P.A.C. Bunnik (hierna: “XXImo”); en

de rechtsvorm naar Nederlands recht Naam en rechtsvorm vennootschap, statutair gevestigd te Plaats en kantoorhoudende aan Adres, Postcode, Plaats, ingeschreven bij het handelsregister van de Kamer van Koophandel onder nummer Nummer, te dezen rechtsgeldig vertegenwoordigd door Naam (hierna: “Klant”);

XXImo en Klant worden hierna gezamenlijk ook wel aangeduid als “Partijen” en elk afzonderlijk als “Partij”;

OVERWEGINGEN:

A. Partijen hebben op Datum een Overeenkomst gesloten op grond waarvan Partijen als afzonderlijke verwerkingsverantwoordelijken Persoonsgegevens met elkaar delen.

B. Partijen wensen hun wederzijdse rechten en verplichtingen met betrekking tot de verwerking van Persoonsgegevens door Partijen vast te leggen in deze Overeenkomst tussen twee verwerkingsverantwoordelijken tussen twee verwerkingsverantwoordelijken.

ZIJN ALS VOLGT OVEREENGEKOMEN:

1. Definities

In deze Overeenkomst tussen twee verwerkingsverantwoordelijken tussen twee verwerkingsverantwoordelijken hebben de volgende begrippen de hierna omschreven betekenis: AVG: Verordening (EU) 2016/670 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in

verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 2016/679/EG (Algemene Verordening Gegevensbescherming);

Betrokkene: de geïdentificeerde of identificeerbare natuurlijke persoon waarop de Persoonsgegevens betrekking hebben;

Datalek: een inbreuk in verband met Persoonsgegevens, zijnde een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot Persoonsgegevens die worden doorgezonden, opgeslagen of anderszins verwerkt, zoals nader omschreven in artikel 32 AVG, en die waarschijnlijk een negatieve impact zal hebben op de rechten en vrijheden van natuurlijke personen of op de bescherming van Persoonsgegevens die door de Verwerker worden verwerkt, zoals omschreven in artikel 33 AVG;

Overeenkomst: de overeenkomst als bedoeld in overweging A;

Persoonsgegevens: alle informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon die de Verwerker op grond van de Overeenkomst verwerkt of moet verwerken, zoals gedefinieerd in de AVG;

Verwerking: een bewerking of een geheel van bewerkingen met betrekking tot Persoonsgegevens of een geheel van Persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van

doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens.

2. Algemeen

2.1 Bij de verwerking van Persoonsgegevens respecteren Partijen de verplichtingen die in deze Overeenkomst tussen twee verwerkingsverantwoordelijken worden uiteengezet, de verplichtingen op grond van de toepasselijke wet- en regelgeving en de verplichtingen die worden uiteengezet in de privacyverklaring van de betreffende Partij. Iedere Partij is zelf verantwoordelijk voor naleving van de toepasselijke wet- en regelgeving.

2.2 Partijen worden beschouwd als afzonderlijke verwerkingsverantwoordelijken, waarbij elke Partij het doel van en de middelen voor de verwerking van de onder haar controle staande Persoonsgegevens zelf bepaalt in overeenstemming met haar privacyverklaring.

2.3 Deze Overeenkomst tussen twee verwerkingsverantwoordelijken zet het kader uiteen voor het delen van Persoonsgegevens tussen Partijen noodzakelijk ter uitvoering van de Overeenkomst en definieert de beginselen en procedures die Partijen zullen naleven en de verantwoordelijkheden die Partijen jegens elkaar hebben met betrekking tot de afzonderlijke verwerkingsverantwoordelijkheid van elke Partij, zonder dat hierbij beoogd wordt dat Partijen gezamenlijke verwerkingsverantwoordelijken worden zoals gedefinieerd in artikel 26 AVG.

2.4 Partijen komen overeen dat de gedeelde Persoonsgegevens alleen zullen worden verwerkt voor zover dit noodzakelijk is voor de doelen en om te voldoen aan de verplichtingen zoals uiteengezet in de Overeenkomst.

2.5 Partijen garanderen dat de verwerking van Persoonsgegevens, waaronder de doorgifte van persoonsgegevens, gebaseerd zal zijn op een van de in artikel 6 AVG genoemde rechtsgronden.

2.6 Indien Klant of een klant van Klant zorgdraagt voor de registratie van de Betrokkene en de Betrokkene hierdoor niet op de hoogte is van de privacyverklaring van XXImo, of indien de Betrokkene niet op de hoogte is gesteld van het privacybeleid van XXImo als gevolg van enige handeling van Klant, zal Klant de Betrokkene op de hoogte stellen van de privacyverklaring van XXImo.

3. Persoonsgegevens die worden gedeeld

3.1 Partijen kunnen voor de duur van de Overeenkomst en voor de hierboven genoemde doelen de volgende (soorten) Persoonsgegevens met elkaar delen:

Klant verstrekt de volgende Persoonsgegevens aan XXImo zodat XXImo haar diensten kan verlenen en in het kader van sanctiescreening en KYC verplichtingen (wat wettelijke verplichtingen van XXImo zijn als elektronische geldinstelling) :

 klantnaam;

 klantadres;

 naam van tekenbevoegde;

 naam van kaarthouder;

 adres van kaarthouder;

 geboortedatum kaarthouder

 geboorteplaats kaarthouder

 geslacht kaarthouder

 nationaliteit kaarthouder

 telefoonnummer kaarthouder

 e-mailadres kaarthouder

 werkgever kaarthouder

 personeelsnummer kaarthouder

 functie en afdeling kaarthouder

 taal van de kaarthouder

 door kaarthouder afgenomen diensten;

 budget van kaarthouder;

 alle andere Persoonsgegevens die Partijen schriftelijk overeenkomen te delen.

XXImo verstrekt de volgende Persoonsgegevens aan Klant:

 klantnamen;

 XXImo klantnummer;

 naam van kaarthouder;

 personeelsnummer;

 kentekenplaat en kilometerstand van het voertuig;

 transactiegegevens, met inbegrip van maar niet beperkt tot;

• samenstelling van de transactie;

• transactieprijs;

• transactiedetails, waaronder het type transactie en de plaats en datum van de transactie;

 alle andere Persoonsgegevens die Partijen schriftelijk overeenkomen te delen.

3.2 Betrokken waarvan de Persoonsgegevens worden gedeeld door Partijen zijn:

 de werknemers van Klant en/of de werknemers van klanten van Klant.

3.3 Partijen zorgen ervoor dat hun privacyverklaringen in overeenstemming zijn met de AVG en dat Betrokkenen naar behoren worden geïnformeerd over de privacyverklaring van elke Partij.

4. Datakwaliteit

4.1 Elke Partij zorgt ervoor dat de gedeelde Persoonsgegevens correct zijn.

4.2 Indien Partijen kennisnemen van onjuistheden in gedeelde Persoonsgegevens, zullen zij elkaar hiervan zonder onredelijke vertraging op de hoogte stellen.

5. Beveiliging

5.1 Elke Partij neemt passende technische en organisatorische maatregelen, met inbegrip van een schriftelijk informatiebeveiligingsprogramma dat in overeenstemming is met de toepasselijke wet- en regelgeving, teneinde:

 de veiligheid, integriteit en vertrouwelijkheid van de gedeelde Persoonsgegevens te waarborgen en beschermen;

 bescherming te bieden tegen ongeoorloofde verwerking, verlies, ongeoorloofd gebruik en ongeoorloofde verstrekking of verkrijging van of toegang tot Persoonsgegevens.

6. Bewaring

6.1 Partijen zullen gedeelde Persoonsgegevens niet langer bewaren of verwerken dan nodig is om de doelen te bereiken en verplichtingen na te komen die in de Overeenkomst worden uiteengezet.

6.2 Niettegenstaande artikel 6.1 zullen Partijen gedeelde Persoonsgegevens bewaren in overeenstemming met alle wettelijke bewaartermijnen en voor beroepsgroepen geldende bewaartermijnen die van toepassing zijn in hun betreffende landen en/of bedrijfstakken.

7. Geen verwerking buiten de EER

7.1 Partijen zullen gedeelde Persoonsgegevens niet delen buiten de Europese Economische Ruimte (EER), tenzij deze verwerking in overeenstemming is met toepasselijke wet- en regelgeving.

8. Datalekken

8.1 Partijen zullen elkaar zo spoedig mogelijk op de hoogte stellen van een mogelijk of daadwerkelijk verlies van gedeelde Persoonsgegevens en/of een inbreuk op de genomen technische en/of organisatorische maatregelen (Datalek), maar in ieder geval binnen 72 uur na het vaststellen van een mogelijk(e) of daadwerkelijk(e) verlies en/of inbreuk.

8.2 Partijen zullen elkaar de redelijke bijstand verlenen die nodig is om de afhandeling van Datalekken te vergemakkelijken.

9. Oplossen van geschillen en claims met betrekking tot Persoonsgegevens

9.1 Indien een Betrokkene of een gegevensbeschermingsautoriteit een verzoek, geschil of claim met betrekking tot de verwerking van gedeelde Persoonsgegevens bij respectievelijk tegen een Partij of beide Partijen aanhangig maakt, zullen Partijen elkaar van dergelijke verzoeken, geschillen of claims in kennis stellen en met elkaar samenwerken voor zover nodig om tijdig aan het verzoek, geschil of claim te voldoen of die af te handelen en voor zover toegestaan door de toepasselijke wet- en regelgeving.

2018-049

10. Inwerkingtreding, duur en nawerking

10.1Deze Overeenkomst tussen twee verwerkingsverantwoordelijken gaat in op dezelfde datum als waarop de Overeenkomst in werking treedt en duurt tot de Overeenkomst eindigt of zolang een der Partijen Persoonsgegevens van de andere Partij verwerkt.

10.2De in deze Overeenkomst tussen twee verwerkingsverantwoordelijken uiteengezette verplichtingen blijven ook na afloop of beëindiging (om welke reden dan ook) van de Overeenkomst van kracht zolang een der Partijen Persoonsgegevens van de andere Partij verwerkt.

11. Nietigheid

Indien enige bepaling van deze Overeenkomst tussen twee verwerkingsverantwoordelijken nietig is of anderszins niet afdwingbaar is, blijven de overige bepalingen onverkort van kracht. Partijen zullen alsdan een bepaling overeenkomen die de strekking van de nietige of afdwingbare bepaling zoveel mogelijk benadert.

12. Toepasselijk recht

12.1Nederlands recht is van toepassing op alle geschillen met betrekking tot deze Overeenkomst tussen twee verwerkingsverantwoordelijken of de uitvoering ervan of Persoonsgegevens die tussen Partijen worden gedeeld.

12.2Alle geschillen met betrekking tot deze Overeenkomst tussen twee verwerkingsverantwoordelijken of de uitvoering ervan of Persoonsgegevens die tussen Partijen worden gedeeld, zullen worden voorgelegd aan de bevoegde rechter in het arrondissement Utrecht.

Aldus in tweevoud opgemaakt en ondertekend op Datum.

XXImo Naam en rechtsvorm vennootschap

P.A.C. Bunnik CEO

Gevolmachtigde Functie